Politique de confidentialité

En vigueur à compter du : [date de publication]

La présente politique explique comment l'Entreprise d'État du Sud-Est, Sliven (UIDP), en bulgare „Югоизточно държавно предприятие“ ДП, Сливен (ЮИДП), traite vos données personnelles lorsque vous utilisez le site https://hunt.uidp-sliven.com : lorsque vous consultez les hébergements et les prestations, envoyez une demande de réservation, avez une réservation chez nous ou ouvrez la page « Ma réservation ». Nous appliquons le règlement (UE) 2016/679 (règlement général sur la protection des données, ci-après le « RGPD ») et la loi bulgare sur la protection des données à caractère personnel.

1. Qui traite vos données

Le responsable du traitement de vos données personnelles est l'Entreprise d'État du Sud-Est, Sliven (UIDP), numéro d'identification unique (EIK) [EIK].

Siège et adresse de gestion : [siège et adresse de gestion]
Adresse postale : [adresse postale : rue, numéro et code postal], Sliven, Bulgarie
Téléphone : +359 44 622 921
E-mail : hunt@uidp-sliven.com
Délégué à la protection des données : [nom ou fonction du délégué à la protection des données], [e-mail et téléphone du délégué à la protection des données]

Les hébergements présentés sur le site relèvent des unités territoriales de l'UIDP (entreprises forestières d'État et domaines de chasse d'État). Les employés de ces unités et de la direction centrale traitent vos données pour le compte de l'UIDP.

2. Quelles données nous traitons et d'où elles proviennent

2.1 Demande de réservation

Lorsque vous envoyez le formulaire « Demande de réservation », vous nous communiquez :

obligatoirement : vos nom et prénom, votre e-mail, votre téléphone, l'hébergement souhaité, les dates de début et de fin ;
facultativement : les prestations souhaitées, le nombre de chasseurs et une remarque.

Le système enregistre également la langue de la page, le moment où vous avez coché la case par laquelle vous consentez à la présente politique, votre adresse IP et les données relatives à votre navigateur (son nom et sa version, transmis par le navigateur lui-même).

Sans les champs obligatoires et sans votre consentement, nous ne pouvons pas accepter la demande. Vous ne recevez pas d'e-mail automatique après l'envoi : nous vous contacterons par téléphone ou par e-mail pour convenir des dates, des prestations et du prix. Merci de ne pas indiquer dans la remarque de données qui ne sont pas nécessaires à la réservation, par exemple des données de santé ou des données concernant d'autres personnes.

2.2 Réservation

La réservation est l'enregistrement qu'un employé de l'UIDP saisit dans le système après que vous avez envoyé une demande ou que vous nous avez contactés par téléphone ou par e-mail. Elle peut contenir :

vos nom et prénom, votre e-mail, votre téléphone et la langue de nos e-mails ;
facultativement : votre pays, vos données de facturation (raison sociale, numéro d'immatriculation EIK ou autre numéro d'identification, numéro de TVA, adresse, personne de contact) et votre remarque ;
l'hébergement, la période du séjour, le nombre de chasseurs et d'accompagnateurs, les jours de chasse, les prestations, les prix, l'acompte et son délai de paiement ;
les paiements et remboursements : montant, date, mode de paiement (virement bancaire ou espèces), référence et remarque ;
l'historique de la réservation : changements de statut et modifications des données, remarques internes du personnel et remarque qui vous est adressée.

Nous n'enregistrons pas les noms des chasseurs ni des accompagnateurs, mais uniquement leur nombre. Lorsque la réservation est faite par une entreprise ou une agence, c'est elle qui nous communique les coordonnées de la personne de contact. Si vous avez déjà eu une réservation chez nous, l'employé peut reprendre vos données de celle-ci afin de remplir plus rapidement une nouvelle réservation.

Le site n'accepte pas de paiements en ligne et ne collecte pas de données de cartes bancaires. L'acompte se paie par virement bancaire, et l'employé enregistre le paiement dans la réservation.

2.3 La page « Ma réservation »

Les e-mails relatifs à votre réservation contiennent un lien personnel vers la page « Ma réservation ». Vous y voyez les données et les montants de la réservation et, tant que cela est permis, vous pouvez l'annuler. Le lien contient une longue clé aléatoire et fonctionne sans connexion par mot de passe : toute personne qui dispose du lien voit votre réservation. Ne le transmettez donc pas à d'autres personnes. Lorsque vous annulez la réservation au moyen du lien, l'annulation est consignée dans l'historique de la réservation et dans le journal d'activité, avec votre adresse IP et votre navigateur.

2.4 E-mails

Nous ne vous envoyons des e-mails qu'au sujet de votre réservation : lors de sa création et de sa confirmation, en cas de modification, pour rappeler ou prolonger le délai de paiement de l'acompte, lorsque l'acompte est payé, en cas de refus ou d'annulation, ainsi que lorsqu'un employé renvoie un e-mail. Pour la plupart de ces événements, les employés de l'unité territoriale dont relève l'hébergement et ceux de la direction centrale reçoivent une notification interne contenant les mêmes données. Les nouvelles demandes de réservation arrivent sous forme de notification à hunt@uidp-sliven.com et à l'adresse e-mail de l'unité territoriale dont relève l'hébergement.

Le système conserve une copie de chaque e-mail et les informations relatives à sa distribution (envoyé, distribué, rejeté). Nous n'envoyons ni messages publicitaires ni lettres d'information, et nous ne suivons pas si vous ouvrez nos e-mails ou cliquez sur les liens qu'ils contiennent. Si vous répondez à l'un de nos e-mails, votre réponse parvient à la boîte de réception de l'hébergement, de l'unité territoriale ou de hunt@uidp-sliven.com.

Lorsque vous nous écrivez ou nous appelez en dehors du site, nous utilisons vos données pour vous répondre et, si nécessaire, pour saisir une réservation.

2.5 Données techniques

Adresse IP. Nous l'utilisons pour limiter le nombre d'envois depuis une même adresse, lors de la vérification anti-robots, dans le journal d'activité, dans l'enregistrement de la demande de réservation et dans l'enregistrement de la session.
Données relatives au navigateur. Elles sont enregistrées dans la demande de réservation et dans le journal d'activité.
Journal d'activité. Le système enregistre certaines actions : demande de réservation envoyée, refusée ou répétée, annulation d'une réservation au moyen du lien, dépassement de la limite d'envois, ainsi que les actions par lesquelles les employés modifient les demandes et les réservations. Chaque entrée contient le type d'action, le numéro de la demande ou de la réservation, l'heure, l'adresse IP, le navigateur et l'adresse de la page. Le contenu des champs du formulaire et votre lien personnel vers la réservation ne sont pas enregistrés dans le journal.
Adresses sans page. Lorsque vous ouvrez une adresse à laquelle ne correspond aucune page, le système compte les visites de cette adresse, sans votre adresse IP ni aucune autre donnée vous concernant, afin que nous puissions rediriger les anciennes adresses vers les nouvelles pages.
Journaux techniques de l'hébergeur. Lors de chaque visite, le serveur web de l'hébergeur enregistre l'adresse IP, l'heure, l'adresse de la page ouverte (y compris votre lien personnel vers la réservation, si vous l'ouvrez) et le navigateur.

Le site n'utilise ni statistiques de fréquentation, ni cookies publicitaires ou analytiques, et ne crée pas de profils de visiteurs.

3. Cookies

Le site ne dépose que trois cookies, tous trois issus de son propre domaine :

Cookie	Finalité	Durée
locale	mémorise la langue dans laquelle vous avez ouvert le site, afin de vous présenter la même langue lorsque vous revenez à l'adresse sans indication de langue	1 an
ci_session	session : protège les formulaires (le formulaire de demande de réservation et l'annulation d'une réservation) contre les envois falsifiés et conserve brièvement la confirmation de l'envoi de votre demande	jusqu'à 2 heures après votre dernière action
cookie_notice	mémorise que vous avez fermé le bandeau d'information sur les cookies, afin qu'il ne vous soit plus affiché	1 an

Ces trois cookies sont strictement nécessaires au fonctionnement du site et ne requièrent pas de consentement. Ils sont dotés d'attributs de sécurité (Secure et HttpOnly) et ne sont pas utilisés à des fins de suivi. Vous pouvez les supprimer ou les bloquer dans les paramètres de votre navigateur ; sans le cookie de session, le formulaire de demande de réservation ne peut pas être envoyé.

La vérification anti-robots de la page du formulaire s'exécute dans votre navigateur depuis les serveurs de Cloudflare (section 5.3).

L'espace du site réservé au personnel, accessible uniquement aux employés de l'UIDP, utilise également des cookies de connexion. Les données des employés ne relèvent pas de la présente politique.

4. Pourquoi nous utilisons vos données et sur quelle base juridique

Finalité	Données	Base juridique
Réponse à la demande de réservation et préparation de la réservation	les données du formulaire	article 6, paragraphe 1, point a) du RGPD : votre consentement, donné en cochant la case du formulaire
Saisie et exécution de la réservation : confirmation, acompte et délais, rappel, e-mails, page « Ma réservation », arrivée, paiements, annulation et remboursements	les données de la réservation	article 6, paragraphe 1, point b) du RGPD : exécution d'un contrat et mesures précontractuelles prises à votre demande
Échanges avec la personne de contact lorsque la réservation est faite par une entreprise ou une agence	nom et coordonnées de cette personne	article 6, paragraphe 1, point f) du RGPD : notre intérêt légitime à exécuter le contrat conclu avec l'entreprise
Obligations comptables et fiscales et réponses aux autorités publiques lorsque la loi l'exige	données relatives aux paiements ; les factures sont émises en dehors de ce système	article 6, paragraphe 1, point c) du RGPD : obligation légale
Sécurité du site et protection contre le spam et les abus	adresse IP, données relatives au navigateur, journal d'activité, vérification anti-robots	article 6, paragraphe 1, point f) du RGPD : notre intérêt légitime à protéger le site, vos données et notre personnel contre le spam, les attaques et les accès non autorisés, et à pouvoir établir qui a fait quoi
Traitement des questions, litiges et réclamations relatifs à la réservation	les données de la réservation et son historique pendant la durée de conservation	article 6, paragraphe 1, point f) du RGPD : notre intérêt légitime à défendre nos droits
Carte indiquant l'emplacement des hébergements	adresse IP et données relatives au navigateur reçues par OpenStreetMap	article 6, paragraphe 1, point f) du RGPD : notre intérêt légitime à montrer où se trouvent les hébergements
Langue du site et session	les cookies de la section 3	article 6, paragraphe 1, point f) du RGPD ; les cookies sont strictement nécessaires

Pour envoyer le formulaire, vous cochez la case « J'accepte la politique de confidentialité ». Vous consentez ainsi à ce que nous traitions les données du formulaire afin de répondre à votre demande. Votre consentement est libre et vous pouvez le retirer à tout moment (section 9). Le retrait ne remet pas en cause le traitement effectué avant celui-ci ; si la demande n'est pas encore devenue une réservation, nous l'anonymisons après le retrait et ne pouvons plus y donner suite. Lorsque la demande devient une réservation, nous en traitons les données pour exécuter le contrat conclu avec vous. Nous n'utilisons pas vos données à des fins publicitaires et ne les vendons pas.

5. Qui reçoit vos données

5.1 Au sein de l'UIDP

Vos données sont consultées par les employés de la direction centrale et de l'unité territoriale dont relève l'hébergement. Chaque employé d'une unité territoriale ne voit que les demandes et les réservations de ses propres unités ; les administrateurs du système les voient toutes.

5.2 Sous-traitants agissant pour notre compte

[nom et pays de l'hébergeur] : héberge le site et la base de données, ainsi que les sauvegardes.
Mandrill (service de Mailchimp, propriété d'Intuit Inc., États-Unis) : envoie les e-mails du système. Il reçoit l'adresse et le nom du destinataire, l'objet et le contenu de l'e-mail, et nous renvoie le statut de distribution.
[nom du prestataire chargé de la maintenance du système] : développe et maintient le système. Il a accès aux données dans la mesure nécessaire à la maintenance, y compris dans un environnement de test fermé chez le prestataire, qui contient une copie des données.

5.3 Autres destinataires

Cloudflare, Inc., États-Unis (Cloudflare Turnstile, vérification anti-robots) : sur la page du formulaire, votre navigateur charge la vérification depuis les serveurs de Cloudflare et, lors de l'envoi, notre serveur vérifie le résultat auprès de Cloudflare en lui transmettant votre adresse IP. Cloudflare reçoit votre adresse IP et des données techniques sur votre navigateur et votre appareil afin de déterminer si l'envoi provient d'une personne.
OpenStreetMap Foundation, Royaume-Uni (carte) : la liste des hébergements et la page de chaque hébergement affichent une carte. La carte se charge automatiquement lorsque vous arrivez à son niveau sur la page : votre navigateur télécharge alors les images de la carte depuis les serveurs d'OpenStreetMap (tile.openstreetmap.org), qui reçoivent votre adresse IP et des données relatives à votre navigateur.
Banques : lorsque vous payez par virement bancaire, vos données transitent par votre banque et par la banque de l'UIDP.
Autorités publiques et juridictions : uniquement lorsque la loi l'exige.

5.4 Liens externes

Le bouton « Itinéraire » de la page d'un hébergement ouvre Google Maps dans une nouvelle fenêtre avec les coordonnées de l'hébergement, sans transmettre l'adresse de la page d'où vous venez. Dès que vous ouvrez un site externe, ce sont les règles de confidentialité de son propriétaire qui s'appliquent.

6. Transferts de données hors de l'Union européenne

Mandrill (Intuit Inc.) et Cloudflare, Inc. sont établis aux États-Unis, et l'OpenStreetMap Foundation au Royaume-Uni. Leurs serveurs et leurs sous-traitants peuvent également se trouver dans d'autres pays situés hors de l'Union européenne et de l'Espace économique européen.

Ces transferts ont lieu dans les conditions prévues au chapitre V du RGPD : sur la base d'une décision d'adéquation de la Commission européenne lorsqu'une telle décision s'applique au destinataire, ou moyennant des garanties appropriées, telles que les clauses contractuelles types approuvées par la Commission européenne. [Mécanisme de transfert par prestataire : Mandrill, Cloudflare, OpenStreetMap] Vous pouvez demander des informations sur ces garanties en utilisant les coordonnées indiquées à la section 1.

7. Combien de temps nous conservons vos données

Données	Durée de conservation
Données personnelles d'une réservation, ainsi que la demande associée, les e-mails, les remarques et l'historique	anonymisées 60 mois après la date de fin du séjour, que la réservation ait été menée à terme ou annulée, y compris d'office
Demande de réservation qui n'est pas devenue une réservation, ainsi que l'adresse IP, les données relatives au navigateur, les e-mails et les remarques qui s'y rapportent	anonymisée 12 mois après la date de fin de la période souhaitée, ou plus tôt si vous retirez votre consentement
Copies des e-mails dans le système	jusqu'à l'anonymisation de la réservation ou de la demande auxquelles elles se rapportent ; l'adresse, le nom et le contenu sont alors supprimés
Notifications système relatives à un e-mail non distribué (elles contiennent l'adresse du destinataire)	[durée de conservation des notifications système contenant l'adresse e-mail d'un destinataire]
Journal d'activité	60 mois ; l'adresse IP, le navigateur et les détails figurant dans les entrées que vous avez générées pour une demande ou une réservation sont supprimés plus tôt, lors de l'anonymisation de celle-ci
Compteurs servant à limiter les envois	jusqu'à 10 minutes
Session	jusqu'à 2 heures après votre dernière action
Le cookie locale	1 an
Le cookie cookie_notice	1 an
Journaux techniques du serveur web chez l'hébergeur	[durée de conservation des journaux du serveur web chez l'hébergeur]
Sauvegardes chez l'hébergeur	[durée de conservation des sauvegardes chez l'hébergeur] ; les données anonymisées dans le système subsistent dans les sauvegardes plus anciennes jusqu'à ce que celles-ci soient remplacées
E-mails dans les boîtes de messagerie professionnelles de l'UIDP et correspondance en dehors du système	[durée de conservation de la messagerie professionnelle]
Documents comptables émis en dehors du système	les délais prévus par la loi bulgare sur la comptabilité et par la législation fiscale

Les durées de conservation des réservations, des demandes et du journal sont des paramètres du système. Si nous les modifions, nous mettrons également à jour la présente politique.

8. Fonctionnement de l'anonymisation

Chaque jour, le système vérifie quelles réservations et quelles demandes ont atteint les durées indiquées à la section 7 et les anonymise. Un administrateur de l'UIDP peut faire de même à tout moment à votre demande (section 9). Lors de l'anonymisation :

votre nom est remplacé par « *** », votre e-mail par une adresse fictive, et votre téléphone, les données de votre entreprise et vos remarques sont supprimés ;
les remarques internes du personnel sont effacées, et les commentaires de l'historique, les anciennes et nouvelles valeurs de vos données personnelles et les motifs consignés dans le journal des modifications, ainsi que les références et remarques relatives aux paiements, sont supprimés ;
dans les copies des e-mails, l'adresse, le nom et le contenu sont supprimés et l'objet est remplacé par le type d'e-mail ;
l'adresse IP et le navigateur enregistrés dans la demande et dans les entrées du journal que vous avez générées sont supprimés ;
le lien vers « Ma réservation » cesse de fonctionner et le système ne vous envoie plus d'e-mails.

Seuls subsistent le numéro de la réservation, les dates, l'hébergement, les prestations, le nombre de personnes accueillies, les montants et la langue des e-mails, sans aucune donnée permettant de vous identifier directement. Ces éléments nous sont nécessaires pour les rapports et les statistiques de l'UIDP. L'anonymisation dans le système est irréversible.

9. Vos droits

En vertu du RGPD, vous disposez des droits suivants :

droit d'accès : savoir si nous traitons des données vous concernant et en obtenir une copie ;
droit de rectification : obtenir que nous corrigions des données inexactes ou complétions des données incomplètes ;
droit à l'effacement : obtenir que nous effacions vos données lorsqu'elles ne sont plus nécessaires, lorsque vous retirez votre consentement ou lorsque leur traitement n'a pas de fondement ;
droit à la limitation : obtenir que nous limitions le traitement, par exemple pendant que nous vérifions l'exactitude des données ;
droit à la portabilité : recevoir les données que vous nous avez fournies pour la demande et la réservation dans un format structuré, couramment utilisé et lisible par machine, ou obtenir que nous les transmettions à un autre responsable du traitement, lorsque cela est techniquement possible ;
droit d'opposition : vous opposer au traitement que nous effectuons sur la base de notre intérêt légitime (section 4) ; nous y mettons alors fin, sauf si nous avons des motifs légitimes et impérieux qui prévalent sur vos intérêts, ou si les données sont nécessaires à la constatation, à l'exercice ou à la défense de droits en justice ;
droit de retirer votre consentement au traitement des données du formulaire à tout moment, aussi simplement que vous l'avez donné : par e-mail ou par téléphone aux coordonnées indiquées à la section 1.

Comment exercer vos droits. Écrivez-nous à hunt@uidp-sliven.com, appelez le +359 44 622 921, écrivez à l'adresse indiquée à la section 1 ou contactez le délégué à la protection des données. Afin de protéger vos données, nous pouvons vous demander de confirmer votre identité, par exemple en nous écrivant depuis l'adresse e-mail indiquée dans la demande ou la réservation, ou en indiquant le numéro de la réservation. Nous répondons dans un délai d'un mois ; pour les demandes complexes ou nombreuses, ce délai peut être prolongé de deux mois, ce dont nous vous informerons. L'exercice de vos droits est gratuit.

Comment nous traitons certaines demandes dans le système :

Rectification. Nous corrigeons les données d'une réservation active directement dans celle-ci. Les demandes de réservation, ainsi que les réservations terminées, refusées ou annulées (y compris d'office), ne sont pas modifiables ; pour celles-ci, nous consignons la correction dans une remarque et, si nécessaire, nous anonymisons l'enregistrement.
Effacement et retrait du consentement. Nous y procédons en anonymisant la demande ou la réservation (section 8). Si la réservation est encore active, nous ne pouvons plus, par la suite, vous envoyer d'e-mails à son sujet et le lien vers « Ma réservation » cesse de fonctionner. Nous pouvons refuser d'effacer des données que la loi nous oblige à conserver ou qui nous sont nécessaires pour nous défendre contre des réclamations.

Réclamation. Si vous estimez que nous portons atteinte à vos droits, vous pouvez introduire une réclamation auprès de l'autorité de contrôle bulgare, la Commission pour la protection des données personnelles (CPDP), www.cpdp.bg, ou auprès de l'autorité de contrôle de l'État membre de l'Union européenne dans lequel vous résidez ou travaillez. Vous disposez également du droit de former un recours juridictionnel. Nous vous serions toutefois reconnaissants de vous adresser d'abord à nous, afin que nous puissions régler la question.

10. Comment nous protégeons vos données

Le site fonctionne uniquement via une connexion sécurisée (HTTPS).
Dans le système, seuls les employés disposant d'un compte personnel créé sur invitation ont accès aux données, et chacun ne voit que ce qui est nécessaire à son travail. Les mots de passe ne sont conservés que sous forme d'empreintes sécurisées (hachages), et la connexion est bloquée après plusieurs tentatives infructueuses.
Les actions des employés sur les réservations sont consignées dans le journal d'activité.
Les formulaires sont protégés contre les envois falsifiés, et le formulaire de demande de réservation l'est également contre les robots et les envois excessifs.
Votre lien personnel vers la réservation est une longue clé aléatoire ; la page « Ma réservation » n'est pas indexée par les moteurs de recherche et ne transmet pas son adresse à d'autres sites.
Les clés d'accès aux services externes ne sont conservées que sur le serveur, en dehors du code du site.
L'hébergeur effectue des sauvegardes du site et de la base de données.

Aucune mesure n'est infaillible. Si nous avons connaissance d'une violation de la sécurité affectant vos données, nous en informerons la CPDP et vous-même lorsque la loi l'exige.

11. Décisions automatisées

Nous ne procédons à aucun profilage et ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard ou vous affectant de manière significative. Deux étapes du système sont automatiques, mais elles suivent des règles connues à l'avance et n'évaluent pas votre personne :

La vérification anti-robots peut refuser l'envoi du formulaire. Vous pouvez alors réessayer ou nous contacter par téléphone ou par e-mail.
Une réservation confirmée dont l'acompte n'a pas été payé dans le délai indiqué dans l'e-mail de confirmation est annulée automatiquement à l'expiration de ce délai. Vous recevez généralement un rappel la veille de l'échéance. Si vous avez besoin de plus de temps, contactez-nous avant l'échéance.

12. Enfants

Le site et nos prestations s'adressent à des personnes majeures. Nous ne collectons pas sciemment de données concernant des enfants ; dans les réservations, nous n'enregistrons que le nombre de personnes accueillies, sans leurs noms. Si vous pensez qu'un enfant nous a transmis ses données, écrivez-nous et nous les anonymiserons.

13. Modifications de la présente politique

Nous pouvons modifier la présente politique en cas de changement du système, de nos prestataires ou de la législation. La version en vigueur figure toujours sur cette page, avec la date à partir de laquelle elle s'applique. Nous signalerons les modifications importantes en haut de la page.

La présente politique est publiée en bulgare, anglais, allemand, russe, français et espagnol. En cas de divergence entre les textes, le texte bulgare prévaut.